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Medical Apparatus including Redundantly Configured Control 
Unit for Infusion Therapy or Blood Treatment 

10 

Abstract 

The control unit (13) of the medical apparatus has a two-channel configuration, the 
components being provided duplicated at least twice. For safety reasons the input means 
(29) of the control unit permits only limited modification of the data. 

15 For modifying the programming of the control unit (13) a single-channel programming 
deV)&(21) is used which may be a personal computer. With this programming device the 
data is freely programmable up to completion of the full data set which Is then transferred 
into the control Unit (i-3). For checking correct data transfer the data belonging together or 
the corresponding check-sums are simultaneously displayed on the display means (19) 

20 and (27) of the control unit (13) and programming device (21) respectively and compared 
by the user, all by striking a single key (28a). Striking the key (28a) for progressing the 
data simultaneously serves as acknowledgement of correct transfer. The interpreters 
integrated in the ROM form the predefined application from the transferred data. 



25 Description 

The Invention relates to a medical apparatus for infusion therapy or blood treatment 
including a redundantly cijnfigurecf control^unit as it reads from the preamble of claim l. 
Medical apparatuses such as, for example, dialysis systems and Infusion pumps must 

30 satisfy -Ve^y stttngerrt Safety, r^ufcemenesfit needing to be assured in particular that any 
component failure in the control unit or |aT^dj|liiiisis^yc^iSi^t put the patient at risk. 
It is known from the German trade journal "Medizintechnlk" 1985, pages 118-124 to 
configure the control unit redundantly In a microprocessor-controlled haemodialysis 
apparatus. In this arrangement one microprocessor as the function processor Implements 

35 closed loop control in monitoring the functioning of the dialysis apparatus whilst a second 
microprocessor is provided as a checking processor for receiving the same data as the 
function processor and for keeping a check on the function processor. It is also possible to 
configure function processor and checking processor as diverse systems, i.e. In using 
diverse types of processor for these microprocessors which, where necessary, are also 

40 programmed with diverse software, so that any system error having gone unnoticed 
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occurring in only one of the differ! ngly configured processor systems ts reliably detected. 
Although the safety level achievable by a redundant configuration of the control units is 
high, the control units of such medical apparatuses have an input unit comprising only 
very few Input elements, e.g. a keypad for excluding faulty input. This program parameters 
5 are mostly stored In the control unit. These are input by the manufacturer and cannot be 
modified normally by the user: Modifying flats relevant to safe operation Involves 
considerable, risks. Wrongly input data or data modified by processing or faults may have " 
grave consequences for reliable operation of the medical apparatus and constitute a 
serious risk to the patient being treated by the apparatus. A control unit having a 

10 redundant configuration is also termed a two-channel system. When the control unit is 
configured with two-channels, the apparatus with which the data relevant to safety is input 
and modified would have to be likewise configured two-channelled to maintain the safety 
standard. However, such a two-channel programming device would be complicated and Its 
high procurement costs would justify the use of such programming devices only when a 

15 single programming device could be used for handling several such medical apparatuses, 
i.e. such a complicated programming device would not be worthwhile for just a single 
medical apparatus. 

The Invention Is based on the objective of providing a medical apparatus of the kind as i 
cited In the preamble of claim 1 which is simple to program without degradation of the 
20 safety standard whilst placing no special requirements on the safety level of the 
programming device. 

This objective is achieved in accordance with the invention by the features as set forth 
in the characterizing dause of daim 1. 

In the medical apparatus in accordance with the invention a programming device is 

25 provided which Is suitable for data transfer to the control unit so that data can be 
transferred from the programming device into the control unit when the control unit is not 
implementing a control process for a patient connected to the apparatus. The 
programming device may comprise a comprehensive Input unit In the form of a keypad 
and also a versatile display means in the form of a monitor. Whilst input unit and display^ 

30 means of the control unit are configured relatively simple and have only few functions or a 
relatively low display capacity, the programming device may be equipped with a versatile 
input unit and display means. For the programming device a usual personal computer Is, 
suitable, for example. The data.ti be trar^ cbntrol unit canoe buffered In a 

memory of the programming device^t «1J «afa roaV-^lso be computed and compiled by 

35 the programming device on" the basii of programs, m conclusion, it is also possible : to 
manually enter these parameters via the input unit into the programming: deylcet 

The special feature of the Invention is that following transfer of the data from the 
programming device to the control unit a process can be implemented in which the 
transferred data, likewise stored in the programming device, can now be simultaneously 

40 displayed on both the display means of the programming device and on that of the control 
unit. In comparing the two the user Is able to check whether the data entered into the 
programming device or conditioned in the programming device has been correctly 
transferred into the two-channel control unit and has also been correctly saved in the 
application memories provided additionally therein. Any errors occurlng In data transfer 
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between programming device and control unit are now detected simply by comparing the 
data of the display means this also Including any errors occuring in memorizing within the 
control unit. 

The invention now makes it possible to use a usual personal computer having a display 
5 and keyboard as the programming device without these function elements needing to be> 
implemented in the each control unit in thus constituting a considerable saving In cost's 
and weight, the user is now able to compile and modify .various sequences In the process 
in the programming device and to display them prior to being transferred to the control^ 
unit for checking and modifying, where necessary. In this arrangement, the user is able to " 

10 enter some of the parameters whilst other parameters are being computed from the 
entered parameters by the programming device. Once the complete set of parameters as 
required is totally available in the programming device, data transfer to the control unit, 
can now be done in a non-operating Interval of the medical apparatus, for example, Beforef; 
making use of the control unit Into which the data has been transferred, now with the n ewf 

15 data, an item by item comparison must be made by the user of the data displayed In both ;: 
display means. In other words, the user makes sure that the parameters contained in th# 
programming device have been correctly memorized in the control unit It Is not until this 
comparison test has been concluded that the medical apparatus is put to use on the^ 
patient. 

20 Although the programming device can remain connected to the control unit when the 
medical apparatus is in operation on the patient, it is expediently provided for that data 
transfer from the programming device to the control unit is then interrupted so that the 
programming device has absolutely no way of influencing the on-going dosed loop control. 
The programming device may, however, contribute towards keeping a check on how the 

25 control unit is functioning, i.e. in permitting a data flow from the control unit to the 
programming device in thus enabling the user to receive any additional Information as to 
the on-going process which cannot be displayed on the very simple display means of the 
control unit. 

The application memories for memorizing the data transferred from the programming 
30 device to the control unit {list of Instructions, parameters, constants, programs) are 
erasable since it must be possible to delete content and replace it new. On the other hand, 
it needs to be assured that the content of these memories is not lost should there be a 
power failure In the control unit. This is why the application memories are e.g. battery 
backup read/write memories. 
35 To facilitate checking the correctness of the transferred data it is good practice for the 
user to undertake the control so that striking a key on the programming device results in 
the display of the data corresponding to each other being progressed simultaneously on 
both display means. This ensures that the data to be compared Is always displayed on the 
two display means In thus excluding the risk of the user comparing data not belonging 
40 together. Accordingly, the user needs to check agreement of the data displayed on the 
display means and acknowledge this by key strike. This enables any errors having 
materialized in the system, transfer link or In the programming device to be detected. 

The invention can be put to use with medical apparatuses for infusion therapy or blood 
treatment having an at least two-channel control unit. It being particularly suitable for 
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medical apparatuses Implementing in addition to a programming sequence also monitoring 
functions. The tdata /may be constants ( MAX/MI N values) or also parameters (delivery 
rates) or also a 'list' of instructions. These may contain time profiles or algorithms, i.e. logic 
functions of events. This list of instructions preferably comprises higher language elements 
5 particularly suitable for comparing the application and permitting conversion by the 
Interpreters implemented in the control unit into the predefined application. Connecting the 
programming device substantially expands the range of applications of the medical 
apparatus without additional input elements at the control unit. The data may also be 
programs which after transfer into the abdication memory supplement the command 
10 content of the interpreters in working as components thereof. Modifying the Interpreters is 
thus possible without modifying the ROMs (bootstrap functioning). 

An. example embodiment of the invention will now be detailed with reference to the 
drawings In which: 

Fig. I is a block diagram of the control unit and 
!5 programming device, 

Fig. 2 is a table of parameter sets transferred by the 

programming device to the control unit, and 
Fig. 3 is a time profile of a control procedure as may 

be prepared in the programming device and whose 
20 data can be transferred to the control unit. 

Referring now to Fig. 1 there is illustrated an infusion pump 10 as an example 
application of the medical apparatus, the infusion pump 10 pumping the content of a 
syringe 11 for delivering a liquid to a patient through a flexible tube 12. The infusion pump 
10 comprises a drive motor (not shown) controlled by the control unit 13. In addition, 
25 sensors are provided at the infusion pump 10, the signals of which are transferred to the 
control unit 13. 

The control unit 13 is configured as a redundant two-channel system, I.e. it comprising 
all components in duplicate, although the elements of a pair must not necessarily be 
configured the same, but Implementing the same functions. Each of the two channels 
30 contains a central processing unit (CPU) 14 and 14a respectively cooperating with a RAM 
15 and 15a respectively, a ROM 16 and 16a respectively and an application memory 17 
and 17a respectively. The two CPUs 14 and; 14a are Interconnected for checking the 
coincidence of their data and work sequences, an alert being, given should no coincidence 
be detected. 

35 Each of the two channels contains an application memory 17 and 17a respectively 
including backup by battery 18 and 18a respectively. This application memory is a 
read/write memory, the data In which is saved by the battery 18 and 18a respectively 
from being lost on a power failure. 

The control unit 13 comprises a (sole) display means 19, this being an alphanumeric 

40 display for displaying a data set of e.g. 16 numerals or letters. 

Provided at the control unit 13 furthermore is a setting means 29 making it possible to 
manually modify a specific parameter, e.g. the rate oUnfuston? This setting means 29 
consists of a plus key and a minus key for incrementing and decrementing respectively the 
rate of infusion displayed by the display means 19. The setting means 29 is restricted to a 
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minimum of modification capabilities so that infusion operation can be modified at the 
control unit without an additionally programming device whilst avoiding wrong Inputs as 
would be more likely with a complex Input system. 

The control unit is provided with an interface 20 for cooperating with the programming 
5 device 21. The programming device 21, which is a personal computer, comprises a 
corresponding interface 23. The Interfaces 23 and 20 can be interconnected by a transfer 
channel 22 e.g. by a data transfer cable. 

The programming device 21 comprises as usual a CPU 24, a RAM 25 and a ROM 26, as 
well as a monitor 27 and a manual input unit 28 in the form of a keypad. Provided on the 
10 input unit 28 is a special key (28a), the functioning of which is detailed below. 

With the aid of the Input unit 28 data for operating the infusion pump tan be entered- 
into the programming devices Referring now to Fig. 2 there is illustrated a data set 
comprising information as to the] time inSrval tn, the/lnfOSion^tevRn and thej^fusTofTrTSW 
Mn, n being the index of the data set In each case, the user only needing to enter two of 
IS the three data items in each case, the third value being computed by the programming 
device. 

Referring now to Fig. 3 there Is illustrated a possiWe^nfOsion profile Achieving various 
Infusion rates Rl to R4 over the times Intervals tl to t4. R Indicates the flow of llouid^ 
delivered to the patient per unit of bme and M Is the liquid now delivered to the oajient in 

20 all. The infusion profile as shown in Fig. 3 can be displayed graphically on the monitor 27 
so that the user is able to visually recognize the infusion profile and modify it by 
reprogrammlng before the corresponding data (parameters) are transferred to the control 
unit 13. The table of parameters shown in Fig. 2 is saved in the RAM 25 of the 
programming device 21. 

25 The control unit 13 contains a sensor for sensing whether the drive unit 10 Is 
functioning. Data transfer from the programming device 21 to the control unit 13 Is only 
possible when the drive unit 10 Is not In operation. Such a data transfer is activated by the 
user striking the key of keypad 28. The data saved in the RAM 25 Is then transferred into 
the application memory 17 and 17a respectively. On completion of data transfer a 

30 comparison must first be made to check whether the data has been correctly transferred 
and stored. This is done by the user striking the key 28a on the keypad of the 
programming device 21. Striking the key 28a for the first time displays the parameter first 
contained in the Table as shown In Fig. 2 on the display means 27 of the programming 
device 21. The corresponding command is also transferred to the control unit 13 so that 

35 the corresponding parameter contained In the application memory 17 and 17a respectively 
Is displayed in the display means 19. The user Is then able to check whether the displays 
in the display means 27 and 19 agree. If so, he then again strikes the key (2Ba) to 
progress the system to the next parameter. Thus by striking the key (28a) the parameters 
can be stepped through on both the display means 27 and the display means 19. Striking 

40 the key (28a) applies as acknowledgement that both displays agree, It not being until all 
data has been displayed and acknowledged in this way that the comparison is concluded. 

The programming device 21 can also remain connected to the control unit 13 on 
conclusion of data transfer. When the drive unit 10 is functioning, this is determinated by 
the CPU 14 and 14a respectively, resulting in data transfer only being possible from the 
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control unit 13 to the programming device 21. In this case the programming device 21 has 
merely an observer function. 

The parameters t, R and M in this case are Indicated merely as examples to simplify the 
explanation. In addition, further data can be entered, for example a maximum Infusion 
S rate per unit of time, changes in the infusion rate, list of instructions, and the like. 

Claims 

1. A medical apparatus for infusion therapy or blood treatment Including a 
10 redundantly configured control unit [13), whose components are provided at least 

duplicated and operated simultaneously, and a display means (19) for displaying 
data from said control unit (13), characterized in that provided connects bte to 
said control unit (13) is an external programming device (21) comprising a manual 
input unit (28) and a display means (27), that data (list of instructions, 

15 parameters, constants, programs) can be transferred from said programming 

device (21) Into said application memory (17, 17a) of said control unit (13), that 
said transferred data can be displayed at said display means (19, 27) of said 
control unit (13) and programming device (21) discretely or in groups 
simultaneously and that the ROMs (16, 16a) contain interpreters which form the 

20 predefined application from said data. 

2. The medical apparatus as set forth In claim 1, characterized in that said transferred 
data form a check-sum in said control unit (13) and mat said check-sum is 
displayable. 

3. The medical apparatus as set forth in claim 1 or 2, characterized in that said data 
25 memories (17, 17a) of said control unit (13) are erasable read/write memories. 

4. The medical apparatus as set forth in any of the claims 1 to 3, characterized in that 
said control unit (13) comprises a sensor permitting detection of said data of said 
programming device (21) by said control unit (13) only in the operation phases 
provided therefor. 

30 5. The medical apparatus as set forth in any of the claims 1 to 4, characterized in that 
with said programming device (21) connected, said control unit (13) is operated 
such that at its display means (19) display of said data is in synchronism with the 
progressive display of the same data at said display means (27) of said 
programming device (21), said progression being dictated by said programming 

35 device (21). 

6. The medical apparatus as set forth In any of the claims 1 to 5, characterized in that 
said control unit (13) is configured such that it cannot be operated following entry 
of new data by said programming device (21) until all date transferred or the 
corresponding check-sums have been displayed in sequence at said display means 

40 (19, 27) and acknowledgement of each display has been made. 



APPLICATION/12810EP01/JPF/HTJ/O8-02-02 



Last printed 8/02/02 13:17 



Europaisches Patentamt 
European Patent Office 
Office europtfen des brevets 



® VerSffentltehungsnummer: 



0 384 155 

A2 



© EUROPA1SCHE PATENTANMELDUNG 

© Anmeldenummer: 90101574.3 © IntCIA A61M S/172 



@ Anmeldetag: 2S.01.90 



© Prioritat 22.02.39 DE 3905350 


© Anmelden B. Braun Melsungen AG 


Carl-Braun Strasse 


© VerSffentllcriungstag der Anmefdung: 


D-3508 Meisungen(DE) 


29.08.90 Patentbiatt 90/35 






Erfinder! Steger, JuYQenr Dipf.-(nQ 


© Benannte Vertraggstaaten: 


Lohrer Strasse 11 


AT BE CH DE DK ES FR GB GH IT LI LU NL SE 


□•3532 Felsberg(DE) 




Erflnder: Seidel, Franz; Dlpi.-lng. 




Klrchweg 15 B 




D-3500 Kassel(DE) 




Erflnder: Hertmeier, Rolf, DIpl.-lng. 
Goethestrasse 8 




D-3507 Baunatal(DE) 




© Vertreten Setting, GUnthar et al 




Patentanwalte Von 




Kreisler-SohonwaLd'Selttng-Fues-Dallrneyer- 




Werner-Dalmeyer Defchmannhaus 




D-6000 Ko!n1(DE) 



<£) Medlzlntechnisches GerSt mlt redundant aufgebauter Steuerelnheltzur Infusionstherapie oder 
Blutbehandlung. 



© Die Steuereinheit (13) des medizintechnischen 
GerStes ist zweikanaiig ausgeftihrt, wobei die Kom- 
ponenten in mindestens zweifacher AusfCihrung vor- 
handen stnd. Aus sicherheitstechnischen GrOnden 
ISflt die Eingabeeinrichtung (29) der Steuereinheft 
nur eine begrenzte Versteltung von Daten zu. 

Zur Veranderung der Programmienjng der 
Steuereinheit (13) dierit ein eintcanaliges Program- 
miergerSi (21), be! dem es slch um einen Personal 
W Computer handeln kann. An dlesem Program mierge- 
J^rSt sind die Daten fret Drogrammlerbar, bis der ge- 
samte Datensatz fertiggestellt ist der dann anschiie- 
Jjitend in die Steuereinheit (13) iibertragen wlrd. Zur 
J^Kontrolle der Rlchtigkeit der Obertragung werden 
zusammengehfirende Daten bzw. die entsprechen- 
°den CRC Summen durch Druck einer Taste (2Sa) 
^gleicnzelSg an den Anzeigeeinrichtungen (19) und 
Ul(27) von Steuereinheit (13) und ProgrammiergerSt 
(21) angezeigt und vom Benutzer verglichen. Das 
Drucken der Taste (28a) zum Fortschalten der Daten 



dient gleichzeitig als Quittlerung der Rlchtigkeit der 
Obertragung. Die im Festwertspsicher integrierten 
Interpreter biiden aus den Ubertragenen Daten die 
vorgegebene Applikaflon. 
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Medtzfntechnisches GerSt mlt redundant aufgeirauter Steuerelnhelt zur Infuslonstheraple oder Blutbe- 
handlung 



Die Erfindung befrifft ein medizintechnisches 
Ger5t zur Infusronstherapie Oder Blutbehandlung 
mit einer redundant aufgebauten Steuereinheit ent- 
sprechend dem Oberbegriff des Patentanspruchs 
1. 

Medizintechnische Gerate, wis beispielsweise 
DialysegerSte und Infusionspumpen, mussen sehr 
hohen sicherheitstechnischen Anfdrderungen genCI- 
gen, wobei insbesondere sichergesteilt werden 
mui!, dafl in der Steuereinheit nicht durch Ausfall 
von Komponenten oder dureh fehierhafte Daten- 
abertragung ein© Gefahrdung des Patienten aunre- 
ten kann. Aus medizintechnik 1985, 118-124, 1st es 
bekannt, bei einem mikroprozessorgesteuerten Ha- 
modialysegerat die Steuereinheit redundant auszu- 
bilden, wobei ei'n Mikroprozessor als Funktionspro- 
zessor die Regelung und Oberwachung des Dialy- 
segerats durchfuhrt, wShrend ein zweiter Mikropro- 
zessor als Kontrollprozessor vorgesehen 1st, der 
die gieichen Daten empfangt wis der Funktionspro- 
zessor und der den Funktionsproaessor kontroiliert 
Es ist auch miSglich, Funktionsprozessor und Kon- 
trollprozessor als diversftare Systeme auszubilden, 
d.h. fur diese Mikroprozessoren unterschiedliche 
Prozessortypen zu verwenden, die eventuell noch 
mit unterschiedlicher Software programmlert sind, 
so daS eventuell unerkannt gebliebene systembe- 
dingte Fehier, die nur in einem der unterschiedlich 
aufgebauten Prozessorsysteme vorkommen, er- 
kannt werden. Das mit den redundant aufgebauten 
Steuereinheiten erzielbare Sicherheitsntveau ist 
hoch. Allerdings haben die Steuereinheiten derarti- 
ger medizintechnischer Gerate eine Eingabeeinheit, 
die nur ganz wenige Bngabeelemente, z.B. Tasten, 
aufweist, urn Fehlbedienungen auszuschlieflen. Die 
Prog ram m parameter sind zum groSten Teil in der 
Steuereinheit gespeichert. Sie sind vom Hersteller 
eingegeben und kSnnen vom Betreiber normaler- 
weisa nicht ver5ndert werden. Die VerSnderung 
von sicherheitsrelevanten Daten ist mit erhebllchen 
Risiken verbunden. Falsch eingegebene oder durch 
verarbeitete oder durch Storungen vergnderte Da- 
ten kSnnen gravierende Auswirkungen auf den Be- 
trieb des medizintechnischen (Berates haben und 
eine erhebliche GefShrdung f(lr den Patlenten dar- 
stellen, der mit diesem Gerat behandeit wird. Ene 
redundant aufgebaute Steuereinheit wird auch als 
zweikanaBges System bezeichnet. Wenn die Steue- 
reinheit zwsikanalig ausgebildet ist, miiflte zur Auf- 
rechterhaitung des Sicherheitsstandards auch das- 
jenige Gerat mit dem sicherheitsrslevante Daten in 
die Steuereinheit eingegeben oder verSndert wer- 
den, ebenfails zweikanalig ausgebildet sein. Ein 
solches zweikanaliges Programmiergerat w3re auf- 



wendig und seine hohen Anschaffungskosten wur- 
den den Einsatz solcher ProgrammiergerSte nur 
dann rechtfertigen, wenn mit einem Programmier- 
gerat zahlreiche medizintechnische Gerate bearbei- 
s tet werden konnert, Fureinzelne medizintechnische 
GerSte wurde sich ein derart aufwendiges Pro- 
grammiergerat nicht iohnen. 

Der Erfindung liegt die Aufgabe zugrunde, ein 
medizintechnisches Gerat der im Oberbegriff des 

io Patentanspruchs 1 angegebenen Art zu schaffen, 
das ohne Verringerung des Sicherheitsstandards 
auf einfache Weise programmierbar ist, wobei an 
das Sicherheitsniveau des Programmiergera'ts kei- 
ne besonderen Anforderungen gestelit werden 

7s mUssen. 

Die LSsung dieser Aufgabe erfolgt erfindungs- 
gema"fl mit den im kennzeichnenden Teil des Pa- 
tentanspruchs 1 angegebenen Merkmalen. 

Bei dem erfindungsgema'Ben medizlntecfmi- 

20 schen Gerat ist ein Program miergerat vorgesehen, 
das (Or einen Datenaustausch mit der Steuereinheit 
geeignet ist, so dafl von dem Program miergerat 
Daten in die Steuereinheit Ubertragen werden kfin- 
nen, wenn die Steuereinheit nicht gerade einen 

25 SteuerprozeS fur einen an das Gerat angeschlosse- 
nen PatJenten durchfUhrt. Das Programmiergerat 
kann .eine umfangreiche Eingabeeinheit in Form 
einer Tastatur aufwelsen und auch eine vielseitige 
Anzeigeeinrichtung in Form eines Bildschirms. 

30 Wahrend Eingabeeinheit und Anzeigeeinrichtung 
der Steuereinheit relativ einfach ausgebildet sind 
und nur wenige Funktlonen bzw. eine relativ gerln- 
ge AnzelgekapazitMt haben, kann das Program- 
miergerat mit einer vieiseitigen Engabeeinheit und 

35 Anzeigeeinrichtung ausgestattet sein. Als Program- 
miergerat signet sich beispielsweise ein ublicher 
Personal Computer. Die in die Steuereinheit zu 
ubertragenden Daten kSnnen in einem Speicher 
des Programmiergerats vorgespeichert sein, sie 

40 kQnnen aber auch von dem ProgrammiergerSt auf- 
grund von Programmen errechnet und zusammen- 
gestellt werden. Schlie/Slich ist es auch moglich, 
diese Parameter fiber die Eingabeeinheit manuell 
in das Program mior gerSt einzugeben. 

45 Die Besonderheit der Erfindung besteht darln, 
daO nach erfolgter Obertragung der Daten vom 
Programmiergerat zur Steuereinheit ein Prozefi 
durchgefOhrt werden kann. bei dem die Gbertrage- 
nen Daten, die auch noch im Programmiergerat 

so gespeichert sind, sowohl an der Anzeigeeinrichtung 
des Programmiergerats als auch an derjanigen der 
Steuereinheit gieichzeitig angezeigt werden. In ei- 
nem Verglsich kann der Anwender kontrollieren, ob 
die in das Programmiergerat eingegebenen oder 
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im Programmiergerat aufberefteten Daten korrekt in 
die zweikanaHge Steuereinheit Clbertragen warden 
sind und in den dort zusStzlich vorgesehenen App- 
likationsspeichern auch korrekt abgespelchert wor- 
den sind. Etwaige Fehler. die im Datentlbertra- 
gungskanal 2wischen Programmiergerat und Steue- 
reinheit auftreten, warden durch den Datenver- 
gleich der Anzeigeeinrichtungen auf einfache Wei- 
se erkannt. Auch solche Fehler, die bei der Bn- 
speicherung inner halb der Steuereinheit entstenen, 
werden erkannt. 

Die Erfindung ermSglicht die Anwendung eines 
Ubiiohen Personal Computers mit Bildschirm und 
Tastatur als Programmiergerat, ohne dlese Funk- 
tlonselemente in jede Steuereinheit implementjeren 
zu mQssen. Dies bedeutet eine erhebliche Kosten- 
und Gewichtseinsparung, Der Benutzer kann im 
Programmiergerat verschietiene VerfahrensablSufe 
zusammenstellen und modifizieren und die Verfah- 
rensablSufe vor ihrer Obertragung In die Steuerein- 
heit auch am Sildschirm sichtbar machen, kontrol 
lieren und ggf, verSndern. Dabei kann der Benutzer 
einige der Parameter eingeben, wahrend andere 
Parameter von dem Programmiergerat aus den 
eingegebenen Parametern errechnet werden. Wenn 
der gesamte benStjgte Parametersatz im Program- 
miergerat vollstandig vorfiegt, kann z.B. in einer 
Betriebspause des medizintechnischen Gerats die 
Datenubertragung In die Steuereinheit erfolgen. Be- 
vor die Steuereinheit, in die die Daten Ubertragen 
wurden, mit den neuen Oaten in Betrieb gertom- 
men wird, mufl durch den Benutzer Punkt fDY Punkt 
ein Vergteich der an den tieiden Anzeigeeinrichtun- 
gen angezeigten Daten erfolgen, d,h. der Benutzer 
Oberzeugt sich davon, dali die Parameter, die im 
Programmiergerat enthaJten sind, korrekt in der 
Steuereinheit abgespeichert worden sind. Erst 
wenn diese Vergieichsprufung abgeschlossen ist, 
wird das medizintechnische Gerat am Patlenten in 
Betrieb genommen. 

Bei Betrieb des medizintechnischen Gerats am 
Patienten kann das Programiergerat an die Steue- 
reinheit angeschlossen bleiben. Zweckmafligerwei- 
se ist jedoch vorgesetien. dafl beim Betrieb am 
Pattenten die Datenubertragung vom Programmier- 
gerat zur Steuereinheit unterbrociien ist, so dafl 
das Programmiergerat in gar keiner Weise auf den 
laufenden Steuer- und RegelprozeS einwirken kann. 
Das Programmiergerat kann allerdings beobach- 
tend an der Funktion der Steuereinheit teilnehmen, 
d.h. es ist eln DateniluS von der Steuereinheit zum 
Programmiergerat moglich. Auf diese Weise kann 
der Benutzer uber den Bildschirm des Program- 
miergerats eventuell zusatzlierte Informations*! aber 
den ablaufenden Prozefl erhatten, die an der sehr 
einfach aufgebauten Anseigeeinrichtung der Steue- 
reinheit nicht angezeigt werden kSnrten. 

Die Applikationsspeicher, die die vom Pro- 



grammiergerat an die Steuereinheit tibertragenden 
Daten (Anweisungsliste, Parameter, Konstanten, 
Programme) aufnehmen, sind Ifischbare Speicher, 
da es mfiglich sein mufl, ihren Inhalt zu JSschen 

5 und durch einen neuen Inhait zu ersetzen. Anderer- 
seits mufl sichergestellt sein, daC bei einem Ausfall 
der Stromversorgung der Steuereinheit der Inhalt 
dieser Speicher nicht galoscht wird. Die Applika- 
tionsspeicher sind daher z.B. batteriegepufferte 

fo Schreib-Lese-Speicher. 

Urn dem Benut2er die Richtlgkeitskontrolle der 
ubertragenen Daten zu erleichiem, ist es zweckmS- 
Big, die Steuerurtg derart vorzunehmen, dafi auf 
einen Tastendruck am Programmiergerat hin die 

is FortschaHung der Anzeige einander entsprechen- 
der Daten an beiden Anzeigeeinrichtungen gteich- 
zeitig erfolgt. Auf diese Weise ist sichergesteilt, 
dafi an beiden Anzeigeeinrichtungen stets die zu 
vergleichenden Daten angezeigt werden, so da/1 

20 die Gefahr, dafl der Benutzer nicht zusammenge- 
horende Daten miteinander vergleieht, ausge- 
schlosser ist. Der Anwender mufl die an den An- 
zeigeeinrichtungen angezeigten Daten auf Oberein- 
stimmung prttfen und dies durch Tastendruck quit- 

25 tieren. Dadurch werden Fehler, die im System, der 
Obertragungsstrecke oder dem Programmiergerat 
entstehBn kSnnten, erkannt. 

Die Erfindung ist bei medizintechnischen Gera- 
ten zur infusionstherapie oder Blutbehandlung an- 

30 wendbar. die mit einer mindestens zweikanaligen 
Steuereinheit ausgestattet sind. Sie eignet sich ins- 
besondere ftlr soiche medizinischen Gerate. die 
neben einem Prog ram mablauf auch Oberwa- 
chungsfunktjonen durchfCihren. Die Daten kSnnen 

35 Konstanten (Grenzwerte) sein oder auch Parameter 
(FSrderrate) Oder auch eine Anweisungsliste. Diese 
kann Zeitprofile Oder Aigorlthmen, d.h. VerknEip- 
fungsfunktionen von Ereignissen beinhalten. Diese 
Anweisungsliste besteht vorzugsweise aus Sprach- 

40 efementen etner Hochspractie. Diese Sprachele- 
mente eignen sich in besonderer Weise fUr den 
Anwendervergleich und konnen von den in der 
Steuereinheit implementierten Interpretern in die 
vorgegebene ApplikatJon umgesetzt werden. Durch 

45 den Anschlufi des Programmiergerats werden die 
Anwendungsmoglichkeiten des medizintechnischen 
Gerates ohne zusatziiche Eingabeeismente an der 
Steuereinheit wesentiich erweitert Die Daten kon- 
nen auch Programme sein, weiche nach der Qber- 

so tragung in den Applikationsspeicher den Befehls- 
vorrat der Interpreter erganzen und als Teile der 
Interpreter arbeiten. Eine Moditikation der Interpre- 
ter ist somit ohne Wechsei der Festwertspeicher 
mdgiich (Bootstrapfunktion), 

55 im folgenden wird unter Bezugnahme auf die 
Zeichnungen ein Ausfuhrungsbeispiel der Erfin- 
dung naher erlautert. 
Es zeigen: 
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Fig. 1 sine schematische Darstellung der 
Steuereinheit und des ProgrammiergerStes, 

Hg. 2 eine Tabelle von Parametersatzen, die 
vom ProgrammiergerSt an die Steuereirtheit Ober- 
tragen werden und 

Fig, 3 ein zeittiches Profil eines Steuervor- 
gangs, der im Programmiergerat vorbereitet war- 
den kann und dessen Daten an die Steuereinheit 
ubertragen werden konnen. 

In den Zeichnungen ist als Anwendungsbei- 
spiel fur das medizinische Gerat eine Infusions- 
pumpe 10 dargestefit, die den inrtalt einer Spritze 
11 ausdruckt, um durcii einen Schlauch 12 eine 
Flussigkeit einem Patienten zuzufuhren. Die Infu- 
sionspumpe 10 weist einen (nicht dargestellten) 
Antriebsmotor auf, der durch die Steuereinheit 13 
gesteuert ist. Auflerdem sind an der Infusionspum- 
pe 10 Sensoren vorhanden, deren Signals an die 
Steuereinheit 13 iibertragen werden. 

Die Steuereinheit 13 ist als redundantes zwei- 
kanaliges System aufgebaut. Sie ertthSIt samtliche 
Komponenten zweifach, wobei die Elemente eines 
Paares nicht notwendigerweise gleich aufgebaut 
sind, aber die gleichen Funktionen ausfuhren. Je- 
der der beiden Kanale enthalt eine zentrale Prozes- 
soreinheit (CPU) 14 bzw. 14a, die mit einem Ar- 
beitsspeicher 15 bzw. 15a, einem Festwertspeicher 
16 bzw. 16a und einem Applikationsspeicher 17 
bzw. 17a zusamnienarbeltet Die beiden Prozesso- 
reinheiten 14 und 14a sind untereinander verbun- 
den, um ihre Daten und ArbeitsabtSufe auf Koinzi- 
denz zu UberprOfen. Wird keine Koinzidenz festge- 
steilt, dann wird Alarm erzeugt. 

Jeder der beiden Kanale enthalt einen Applika- 
tionsspeicher 17 bzw. 17a, der durch eine BatteriB 
18 bzw. 18a gepuffert ist. Dteser Applikationsspei- 
cher ist ein Schreib-Lese-Speicher. Die in ihm ent- 
hafamen Daten werden bei Stromausfall durch die 
Batterie 18 bzw. 18a erhalten. 

Die Steuereinheit 13 weist eine (einzige) Anzei- 
geeinrichtung 1 9 auf, bei da - es sich um ein alpha- 
numerisches Display handelt, an dem ein Daten- 
satz aus Z.B. 18 Ziffern oder Buchstaben angezeigt 
werden kann. 

Femar ist an der Steuereinheit 13 eine Stellein- 
richtung 29 vorgesehen. durch die es mdgllch ist, 
einen bestirnmten Parameter, z.3. die Infusionsrate, 
manuell zu verandem. Diese Steileinrichtung 29 
besteht aus einer Plustaste und einer Minustaste, 
durch deren Drueken die an der Anzeigeeinrich- 
tung 19 angezeigte Infusionsrate nach oben Oder 
unten verSndert werden kann. Die Steileinrichtung 
29 ist auf ein Mrndestmafl von VersteJImoglichkei- 
ten beschrSnkt, damit der Snfusionsbetrieb an der 
Steuereinheit ohne zusStzliches Programmiergerat 
verSndert werden kann, andererseits aber Bedie- 
nungsfehler, die bei .einem komplexen Sngabesy- 
stem leicht mSgiich wSren, vermieden werden. 



Der Steuereinheit ist eine Schnittsteiie 20 fur 
das Zusammenarbelten mit dem Programmiergerat 
21 vorgesehen. Das Programmiergerat 21 , bei dem 
es sich um einen Persona) Computer handelt, weist 
s eine entsprechende Schnittsteiie 23 auf. Durch ei- 
nen Ubertragungskartal 22, z.B. durch eirt Daten- 
Obertragungskabel, konnen die Schnittsteilen 23 
und 20 untereinander verbunden werden. 

Das Programmiergerat 21 weist in ublicher 
io Weise aine zentrale Prozessoreinheit (CPU) 24, 
einen Arbeitsspeicher 25 und einen Festwertspei- 
cher 26 auf. sowie ferner einen Bildschirm 27 und 
eine manuelle Eingabeeinheit 28 in Form einer 
Tastatur. An der Tastatur 28 ist eine spezielle Ta- 
rs ste 28a vorgesehen, deren FunkfJon noch erlauiert 
wird. 

Mit Kiife der Eingabeeinheit 28 konnen in das 
Programmiergerat Daten fur den Betrieb der Infu- 
sionspumpe eingegeben werden. GemSfi Fig. 2 

so besteht ein Datensatz aus dsn Angabert uber das 
Zeitintervali tn, die Infusions rate Rn und die Infu- 
sfonsmenge Mn, wobei n der Index des jeweiligen 
Datensatzes ist Vom Benutzer brauchen nur je- 
weils zwei der drei Daten eingegeben zu werden, 

as wShrend der dritte Wert von dem Program mierge- 
r5t errechnet werden kann. 

Fig. 3 zeigt ein mfigliches Infusionsprofil, bei 
dem uber die Zeitintervalle t1 bis t4 untersehiedli- 
che Infusionsraten R1 bis R4 rsalisiert werden. Die 

30 Infusionsrate R glbt die dem Patienten zugefuhrte 
FlOssigkeitsmenge pro Zeiteinheit an und die Infu- 
sionsmenge M ist die dem Patienten insgesamt 
zugefuhrte Hussigkeitsmenge. Das in Fig. 3 darge- 
steilte InfusionsproRi kann an dem Bildschirm 27 

35 graphisch angezeigt werden, so dafl der Benutzer 
dieses Infusionsprofil optisch erkennen und durch 
Umprogrammierung verandem kann, bevor die ent- 
sprechenden Daten (Parameter) in die Steuerein- 
heit 13 Ubertragen werden. Die in Fig. 2 dargeslell- 

4o te Tabelle von Parametem wird in dem Arbeitsspei- 
cher 25 des ProgrammiergerSts 21 gespeichert 

Die Steuereinheit 13 enthSIt einen Sensor, der 
feststellt. ob die Antriebseinheit 10 in Funktion ist. 
Eine OatenCibertragung von dem Programmiergerat 

45 21 zur Steuereinheit 13 ist nur dann mo'giich, wenn 
die Antriebseinheit 10 nicht in Betrieb ist. Bne 
solche DatenQbertragung wird vom Benutzer durch 
einen Tastendruck an der Tastatur 26 ausgelSst 
Die im Arbeitsspeicher 25 gespeicherten Daten 

eo werden dann in die Applikationsspeicher 17 und 
17a Qbertragen. Nach Beendigung dieser Daten- 
(Jbertragung mu/3 zunSchst ein Vergleich durchge- 
fuhrt werden, um zu ermittetn, ob die Daten leorrekt 
ubertragen und gespeichert worden sind. Dies ge- 

ss schieht dadureh, da8 die Taste 28a an der Tastatur 
des Programmiergerats 21 gedrOckt wird. Nach 
erstmatigem Druck der Taste 28a erscheint der 
erste In der Tabelle gemS/i Fig. 2 enthaltenen 
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Parameter an der Anzeigeelnrlchturtg 27 des Pro- 
grammiergerSte 21 . Der entsprecnende Befehl wird 
auch zur Steuereinheit 13 ubertragen, so dafi der 
entspreehende Parameter, der in den Applikatlons- 
speichern 17 und 17a enthalten ist, an der Anzei- 
geeinrichtung 19 angezeigt wird, Der Benutzer 
kann nun fesistellen, ob die Anzeigen an den An- 
zeigeeinrichtungen 27 und 19 elnander gleich sind. 
Wertn Obereinstimmung der Anzeigen fssfgestellt 
wurde, wird die Taste 2Sa noch einmai gedruckt. 
so dafl zum nlchsten Parameter fdrtgeschaltet 
wird. Auf diese Weise erfolgt durch Drlieken der 
Taste 28a eine Fortschaltung der Parameter sowohl 
an der Anzeigeeinrichtung 27 ais auch an der An- 
zeigeeinrichtung 19- Das Drdcken der Taste 28a 
gilt als Quittierung der Tatsache. dafl Obereinstim- 
mung beider Anzeigen festgestellt wurde. Erst 
wenn alte Daten auf diese Weise angezeigt und 
quitirert worden sind, ist der Vergletch abgeschlos- 
sen. 

Das Programmiergerat 21 kann auch nach Be- 
endigung der DatenUbertragung an die Steuerein- 
heit 13 angeschlossen bieiben. Wenn die Antriebs- 
einhsit 1 0 in Betrieb ist, wird dies durch die zentra- 
len Prozessoreinheiten 14 und 14a festgestellt und 
diese bewirken, dafl eine Datentlbertragung nur von 
der Steuereinheit 13 zum Programmiergerat 21 
mb'gllch ist Das Programmiergerat 21 hat in die- 
sem Zustand nur eine Beobachterfunktion. 

Die Parameter t, R und M sind hier aus GrCin- 
den der einfacheren Eria'uterung nur ais Beispiele 
angegebea ZusStzlich kSnnen weitere Daten ein- 
gegeben werden, beispieisweise die maxlmale Infu- 
sionsmenge pro Zeiteinheit, irtfusionsratenverande- 
rung, Anweisungslisten u.dgl. 



Anspruche 



Festwertspelcher (16,18a) Interpreter enthalten, die 
aus diasen Daten die vorgegebene Applikation 
den. 

2. Medizintechnisches Gerat nach Anspruch 1 . 
s dadurch gekennzeichnet, dafl uber die abertrage- 

nen Daten eine CRC Summe in der Steuereinheit 
(13) gebitdet wird und dafl diess Priifsumme an- 
zeigbar ist. 

3. Medizintechnisches Gerat nach Anspruch 1 
io oder 2, dadurch gekennzeichnet, daB die Daten- 

speicher (17,17a) der Steuereinheit (13) ISschbare 
Scnreib-Lese-Speicher sind. 

4. Medizintechnisches GerSt nach einem der 
AnsprQche 1 bis 3, dadurch gekennzeichnet, daB 

is die Steuereinheit (13) einen Sensor aufweist, der 
den Empfang von Daten des Programmiergerats 
(21) durch die Steuereinheit (13) nur in den dafur 
vorgesehenen Betriebsphasen zulSCt 

5. Medizintechnisches Gera*t nach einem der 
so AnsprQche 1 bis 4, dadurch gekennzeichnet, daB 

die Steuereinheit (13) bei angesehiossenem Pro- 
grammiergerat (21) derart betrieben ist, dafl an 
ihrer Anzeigeeinrichtung (19) eine Fortschaltung 
angezeigter Daten synchron mit der Fortschaltung 
26 derselben Daten an der Anzeigeeinrichtung (27) 
des Programmiergerats (21) erfolgt, wobei das 
Fortscfialten am Programmiergerat (21) erfolgt. 

6. Medizintechnisches Gerat nach einem der 
AnsprQche 1 bis 5, dadurch gekennzeichnet, dafl 

oo die Steuereinheit (13) derart ausgebiidet ist, daft sie 
nach Eingabe neuer Daten durch das Programmier- 
gerat (21) erst dann in Betrieb gesetzt werden 
kann, wenn alle Jibertragenen Daten bzw. die ent- 
sprechenden CRC Summon nacheinander an den 

35 Anzeigeeinrichtungen (19,27) angezeigt worden 
sind und fUr jede Anzeigs eine Quittierung erfolgt 



1. Medizintechnisches SerSt zur Infusionsthera- 
pie Oder Blutbehandlung mit einer redundant auf- 
gebauten Steuereinheit (13), deren Komponenten in 
mindestens zweifacher AusfOhrung vorhanden und 
simultan betrieben sind, und mit einer Anzeigeein- 
richtung (19) zum Anzeigen von Daten aus der 
Steuereinheit (13), 
dadurch gekennzeichnet, 
daB ein an die Steuereinrichtung (13) anschiieflba- 
tbs extemes Programmiergerat (21) vorgesehen ist, 
das Ober eine manuelle Engabeeinheit (28) und 
eine Anzeigeeinrichtung (27) verfCigt, daB aus dem 
Programmiergerat (21) Daten (Anweisungsliste, Pa- 
rameter, Konstanten, Programme) in die Applika- 
tionsspeicher (17,17a) der Steuereinrichtung (13) 
ubertragbar sind, daB die Gbertragenen Daten an 
den Aflzeigevorriehtungen (19.27) von Steuereirtheit 
(13) und Programmiergerat (21) ein2ein Oder in 
Gruppen gleichzeltig anzeigbar sind und daB die 
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© Die Steuereinheit (13) des medizintechnischen 
Gerates ist zweikanatig ausgefuhrt, wobei die Kom- 
ponenten in mirtdestens zwerfacher AusfUhrung vor- 
handen sind. Aus sicrterheitstechnischen GrEInden 
Eiflt die Sngabeeinrichtung (29) der Steuereinheit 
nur eine begrenzte Verstellung von Daten 2U, 

Zur VerSnderung der Pragrammierung der 
<*) Steuereinheit (13) diem ein einkanaiiges Program- 
^miergerat (21), bei dem es sich um elnen Personal 
If) Computer handeln kann. An diesem Programmierge- 
Iflrat sind die Daten frei prog ram mier bar, bis der ge- 
r-samte Datensatz fertiggestellt ist. der dann anschlie- 
^6end in die Steuereinheit (13) Obertragert wird. Zur 
COKontrolia der Rlchtigkeit der Obertragung werden 
W zusammengehorende Daten bzw. die entsprechen- 
Oden CRC Summen durch Druck einer Taste (28a) 
gletchzettig an den Anzeigeeinrichtungen (19) und 
JJj{27) von Steuereinheit (13) und Program miergerat 
(21) angezeigt und vom Benutzer verglichen. Das 
Drucken der Taste (28a) zum Fortschaiten der Daten 



dlent gleichzeirig als Quittierung der Richtigkeit der 
Obertragung. Die im Festwertspeieher integrierten 
Interpreter bilden aus den Qbertragenen Daten die 
vorgegebene Applikation. 
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